Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.

OPSSHIELD

cPGuard: malicious updates expose server credentials

Actualizado 5 nov 2026

Actuar ahoraAtaques confirmados

Seguí las novedades de seguridad

Alertas prioritarias y resúmenes de Radar por correo.

.rd-subscription-header button,#radar-email-form{display:none!important}

Suscribite con tu correo. La activación requiere confirmación por email.

Aviso de seguridad

OPSSHIELD confirms malicious cPGuard updates and exposure of server secrets. Its latest disclosure reports about 2,950 servers ran the update; this is the provider’s count.

Quiénes deben revisar: Hosting administrators and organizations using cPGuard.

Acción recomendadaRequiere acciones adicionales

Install the latest corrective update, rotate exposed credentials and revoke old SSH trust. Cleanup alone does not invalidate stolen secrets.

Revisar sistemas afectados Armar un plan de respuesta

¿Qué ocurrió y por qué es relevante?

OPSSHIELD says an attacker breached its billing and licensing system, stole an update key and distributed a malicious agent update that ran as root.

The earlier notice is explicitly superseded by the linked incident disclosure. Version 5.88.25 was its initial cleanup recommendation; it is not the complete recovery guidance now.

Update records identify potentially affected servers, not the exact data transferred from each. Investigate password hashes, database configuration and root shell history alongside SSH trust. A successful upgrade or absence of known files after cleanup cannot establish that previous credentials remained private.

Oktsec recommends coordinating server recovery with the owners of connected systems. Record which credentials were revoked and which dependencies have been checked before restoring sensitive access.

Proveedor / autor: OPSSHIELD
Divulgado: 3 nov 2026
Última revisión de evidencia: 5 nov 2026 UTC

¿Qué sistemas y versiones están afectados?

Producto	Afectado	Versión corregida / acción
cPGuard	Earlier notice: updates 5.88.12–5.88.19. Latest disclosure: servers online November 2, 02:08–03:20 UTC should assume root secrets exposed.	Latest corrective release, including 5.88.26 cleanup and the subsequent scheduled-task removal. Credential recovery remains necessary.

Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.

¿Qué evidencia respalda este aviso?

Evidencia del incidente

Ataques confirmados

Fundamento de la prioridad

Exposed credentials can remain usable after cleanup. Prioritize affected servers and systems that trust their keys.

¿Qué implica para los entornos de IA?

Include automation credentials stored on affected hosts in recovery.

Fuentes de este aviso

Latest incident disclosure and recovery guidanceOPSSHIELD · Revisado 5 nov 2026 UTC
Earlier advisory: affected updates and log limitationsOPSSHIELD · Revisado 5 nov 2026 UTC

Abrir evidencia de respaldo y registro técnico

Historial editorial1 entrada

5 nov 2026 UTCAdded scope, evidence and response guidance from the official notices.

Acciones de respuesta

Prepará tu respuesta

0 de 4 acciones registradas como completadas

Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.

Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.

1. Evaluá si aplica a tu entorno

Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».

Evaluación de aplicabilidadSin evaluar

2. Registrá la respuesta

Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.

Sistema o servicioPersona o equipo responsable

Check update history
Review /opt/cpguard/logs/install_log. Affected installation is not proof of individual data transfer; missing logs do not establish safety.
Estado: Check update history
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
Apply current cleanup guidance
Update and confirm removal of /etc/cron.d/i93677, /var/tmp/.i93677/ and /var/tmp/.cpg91511_sh. Preserve evidence before cleanup.
Estado: Apply current cleanup guidance
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
Rotate credentials and revoke trust
Replace local passwords, root SSH keys, database credentials and exposed tokens. Remove old public keys from every trusting server. Reset the billing password and enable multifactor authentication.
Estado: Rotate credentials and revoke trust
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
Escalate evidence of further access
The latest notice requires a clean backup from before November 1 for customers notified of manual attacker access. Ask the provider for an individual assessment if integrity is uncertain.
Estado: Escalate evidence of further access
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

3. Compartí el plan

Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.

VERIFICÁ TU ENTORNO

Sistemas afectados y correcciones

Abrir plan de respuesta

Compará la versión en ejecución y la configuración con las indicaciones del proveedor.

Producto	Afectado	Versión corregida / acción
cPGuard	Earlier notice: updates 5.88.12–5.88.19. Latest disclosure: servers online November 2, 02:08–03:20 UTC should assume root secrets exposed.	Latest corrective release, including 5.88.26 cleanup and the subsequent scheduled-task removal. Credential recovery remains necessary.

Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.

Acceso necesarioRequiere ejecutar el paquete afectado

EVIDENCIA CON FUENTES

Evidencia y fuentes

Revisado 5 nov 2026 UTC

Por qué tiene esta prioridad